@whyshu/argent-engine 0.0.0-stage → 0.6.0

package/engine/scripts/delivery-faces.txt

@@ -0,0 +1,31 @@
+# 投递面清单 —— **唯一真源**（2026-10-08 立；缺口㉔ 收口的同批改动）
+#
+# 为什么要有这个文件：面清单此前**散在投递脚本里**，于是"加目录忘了进面"踩了三次 ——
+#   · 缺口⑳（2026-10-02）`core/`：L1 内核资产不在面里 ⇒ 只走 sync 的机器插件 `DATA_DIR=''`（只读退化）；
+#   · 缺口㉓（2026-10-04）`skills/`：L0 技能资产不在面里 ⇒ 归类判据 `skills/internal.json` 拿不到；
+#   · 缺口㉔（2026-10-08）`deploy/`：部署/交付件不在面里 ⇒ `deploy/customer/roles.spec.json`
+#     （`check-role-mapping.mjs` 第 ⑥ 项**真读**它）漂移了一整批。
+# 三次的形态完全一样：**脚本看起来正常，克隆拿不到**。故清单必须只有一份，且**同一份**被两个投递口读：
+#   · `scripts/sync-scripts.sh`      —— 第一件事：本机安装克隆 `~/.argent-dsh`；
+#   · `scripts/deliver-customer.mjs` —— 第三件事：客户机 / 远端克隆（rsync over ssh + 双端 sha 核对）。
+# （第二件事是 `scripts/release-argent.sh`：目标是**下载服务器**，面不同，**不读**本文件，语义不动。）
+#
+# 格式：一行一个面（相对仓库根的目录名）；`#` 起注释与空行忽略；顺序即投递顺序。
+# 加新面 = **只改这一个文件**（⛔ 不要在同步脚本里再抄一份）。若该面需要"点名核对"，
+# 另在 `sync-scripts.sh` 的对应核对段补清单（核对与面清单是两件事：面清单决定"投什么"，
+# 点名清单决定"投完逐项核到哪几个关键件"）。
+#
+# ⚠️ 缺口㉕（2026-10-09，**第四次**同形态）：`configs/` 是**配置目录**（引擎级可配项声明，
+#   `core/lib/config-catalog.mjs` 从 `<根>/configs/*.json` 读；业务线级那份在 `verticals/<id>/config.json`，
+#   随 `verticals/` 面走）。它不在面里 ⇒ 只走 sync 的机器上**引擎级可配项整体消失**：
+#   门禁 CLI 报"一项都没有"、设置页少一半分类，而**没有任何报错**（`loadCatalog()` 读不到就当空目录）。
+#   形态与前三次（core/ ⇒ 插件只读退化；skills/ ⇒ 归类门禁退化；deploy/ ⇒ 客户模板少查一个面）完全一样：
+#   **脚本看起来正常，克隆拿不到**。故 `configs/` 与它们同待遇：进面 + 逐文件 sha 核对 + 计数一眼可见。
+scripts
+core
+configs
+skills
+verticals
+deploy
+agents
+presets

package/engine/scripts/desktop-trial.sh

@@ -0,0 +1,146 @@
+#!/usr/bin/env bash
+# 官方桌面端「隔离试跑」——**绝不碰 `~/.dsh`**（2026-10-01 事故后固化）。
+#
+# ## 为什么需要它（背景事故）
+# 官方桌面端（`/Applications/DeepSeek Harness.app`，内置 dsh 0.2.0-rc.2）能承载 Argent，
+# 但首次"手动隔离启动"时**误写了生产一行**：当时只设了 `DSH_HOME=~/.dsh-desktop-trial`，
+# 而 `plugins/argent-flow` 的 `dataDir` 只认 `ARGENT_DATA_DIR`、**不看 `DSH_HOME`**
+# ⇒ 启动横幅把一行追加进了生产 `~/.dsh/argent/flow-watch.log`。
+# 更反直觉的是：**只隔离 `ARGENT_DATA_DIR` 而不放暂停开关更危险** —— 隔离目录里没有
+# `PAUSE_FLOW_WATCH`，失败回路会**真的去扫/派发生产流程**（抢客户机的活）。
+#
+# ## 本脚本钉住的四条
+#   ① `DSH_HOME` = **独立 home**（用户 2026-10-01 决定：home 策略 = 独立，不共享生产 `~/.dsh`）；
+#   ② `ARGENT_DATA_DIR = $DSH_HOME/argent`（三级链的第二级，显式写死便于核对）；
+#   ③ 隔离数据目录里**放 `PAUSE_FLOW_WATCH`**（缺它 = 泵会跑）；
+#      叠加 2026-10-01 之后插件内的**安全阀**（隔离目录默认暂停，除非 `ARGENT_ALLOW_ISOLATED_PUMP=1`）
+#      —— 本脚本**刻意不设**那个开关；
+#   ④ `--check` 能**脚本化验收**：打印将要使用的 home/数据目录/暂停开关，并比对 `~/.dsh` 指纹。
+#
+# ## 用法
+#   bash scripts/desktop-trial.sh --check            # 只体检 + 指纹比对（不启动 App，不写文件）
+#   bash scripts/desktop-trial.sh --fingerprint      # 只打印 ~/.dsh 指纹（可重定向保存）
+#   bash scripts/desktop-trial.sh --refresh-baseline # 把当前指纹记为基线（--check 之后拿它比对）
+#   bash scripts/desktop-trial.sh [--] [App 参数…]    # 隔离启动（前台；窗口/日志都看得见）
+#
+# 退出码：0 正常；1 用法/环境错误（含"拒绝在共享生产 home 上启动"）；App 的退出码原样透传。
+set -euo pipefail
+
+APP="${ARGENT_DESKTOP_APP:-/Applications/DeepSeek Harness.app/Contents/MacOS/DeepSeek Harness}"
+PROD_HOME="$HOME/.dsh"                                   # 生产 home：**只读指纹，绝不写**
+TRIAL_HOME="${ARGENT_DESKTOP_TRIAL_HOME:-$HOME/.dsh-desktop-trial}"
+MODE="run"; APP_ARGS=()
+
+# ── 参数 ────────────────────────────────────────────────────────────────────
+while [ $# -gt 0 ]; do
+  case "$1" in
+    --check) MODE="check"; shift ;;
+    --fingerprint) MODE="fingerprint"; shift ;;
+    --refresh-baseline) MODE="baseline"; shift ;;
+    --home) TRIAL_HOME="${2:?--home 需要一个目录}"; shift 2 ;;
+    --) shift; APP_ARGS+=("$@"); break ;;
+    -h|--help) sed -n '2,30p' "$0" | sed 's/^# \{0,1\}//'; exit 0 ;;
+    *) APP_ARGS+=("$1"); shift ;;
+  esac
+done
+
+# ── ① home 策略：独立（用户 2026-10-01 决定）────────────────────────────────
+# 关键：**不**用 `${DSH_HOME:-…}` 继承调用者的 DSH_HOME —— 会话里 DSH_HOME 常常就指向
+# 生产 `~/.dsh`，继承它等于"隔离脚本把实例送去生产"（这正是要防的事故形态）。
+if [ -n "${DSH_HOME:-}" ] && [ "$DSH_HOME" != "$TRIAL_HOME" ]; then
+  echo "❌ 拒绝启动：环境里的 DSH_HOME=$DSH_HOME 与试用 home（${TRIAL_HOME}）不一致。" >&2
+  echo "    隔离试跑必须用**独立 home**（用户 2026-10-01 决定）；要复用别的目录请显式：" >&2
+  echo "      unset DSH_HOME && bash scripts/desktop-trial.sh              # 用默认 $HOME/.dsh-desktop-trial" >&2
+  echo "      bash scripts/desktop-trial.sh --home <独立目录>               # 换一个独立目录" >&2
+  exit 1
+fi
+if [ "$TRIAL_HOME" = "$PROD_HOME" ]; then
+  echo "❌ 拒绝启动：试用 home 不能是生产 ${PROD_HOME}（隔离试跑的红线）。" >&2
+  exit 1
+fi
+export DSH_HOME="$TRIAL_HOME"
+
+# ── ② 数据目录（三级链第二级）+ ③ 暂停开关 ─────────────────────────────────
+export ARGENT_DATA_DIR="$DSH_HOME/argent"
+PAUSE_SWITCH="$ARGENT_DATA_DIR/PAUSE_FLOW_WATCH"
+
+# ── `~/.dsh` 指纹：启动前后"逐字节没变"的可核对证据 ────────────────────────
+# 取的都是**事故会碰到**的东西：凭据、会话数、生产 flow-watch.log 的字节/行数、用例数、设置文件。
+file_sha() { [ -f "$1" ] && shasum -a 256 "$1" | awk '{print $1}' || echo '(无)'; }
+file_lines() { [ -f "$1" ] && wc -l < "$1" | tr -d ' ' || echo 0; }
+fingerprint_lines() {
+  printf 'credentials.yaml sha256  : %s\n' "$(file_sha "$PROD_HOME/.credentials.yaml")"
+  printf 'sessions 条目数           : %s\n' "$( [ -d "$PROD_HOME/sessions" ] && ls -1 "$PROD_HOME/sessions" 2>/dev/null | wc -l | tr -d ' ' || echo 0 )"
+  printf 'argent/flow-watch.log    : %s 行\n' "$(file_lines "$PROD_HOME/argent/flow-watch.log")"
+  printf 'argent/flow-cases 条目数  : %s\n' "$( [ -d "$PROD_HOME/argent/flow-cases" ] && ls -1 "$PROD_HOME/argent/flow-cases" 2>/dev/null | wc -l | tr -d ' ' || echo 0 )"
+  # 下面三个是**最容易被误写的小配置文件**（2026-10-02 实测：测试夹具曾把 roles.json / skin.json 写进生产）
+  printf 'argent/config.json sha256: %s\n' "$(file_sha "$PROD_HOME/argent/config.json")"
+  printf 'argent/roles.json sha256 : %s\n' "$(file_sha "$PROD_HOME/argent/roles.json")"
+  printf 'argent/skin.json sha256  : %s\n' "$(file_sha "$PROD_HOME/argent/skin.json")"
+}
+FINGERPRINT_FILE="$TRIAL_HOME/dsh-fingerprint.baseline"
+fingerprint_hash() { fingerprint_lines | shasum -a 256 | awk '{print $1}'; }
+
+if [ "$MODE" = "fingerprint" ]; then
+  fingerprint_lines
+  echo "指纹 sha256              : $(fingerprint_hash)"
+  exit 0
+fi
+
+if [ "$MODE" = "baseline" ]; then
+  { fingerprint_lines; echo "指纹 sha256              : $(fingerprint_hash)"; } > "$FINGERPRINT_FILE"
+  echo "🔖 已记基线：$FINGERPRINT_FILE"
+  exit 0
+fi
+
+# ── 体检（--check）：打印将要用什么 + 校验指纹，**不启动 App** ──────────────
+echo "── 官方桌面端隔离试跑体检 ──────────────────────────────────────────"
+echo "  App 二进制        : $APP"
+if [ -x "$APP" ]; then echo "  App 存在          : ✅ 可执行"; else echo "  App 存在          : ❌ 未安装/不可执行"; fi
+echo "  DSH_HOME（独立）  : $DSH_HOME"
+echo "  ARGENT_DATA_DIR   : $ARGENT_DATA_DIR"
+echo "  生产 home（只读） : $PROD_HOME"
+if [ -f "$PAUSE_SWITCH" ]; then
+  echo "  PAUSE_FLOW_WATCH  : ✅ 存在（失败回路已暂停）"
+else
+  echo "  PAUSE_FLOW_WATCH  : ⚠️ 不存在 —— 启动时会自动创建（缺它泵可能跑）"
+fi
+if [ "${ARGENT_ALLOW_ISOLATED_PUMP:-}" = "1" ]; then
+  echo "  隔离放行开关      : ⚠️ ARGENT_ALLOW_ISOLATED_PUMP=1（泵会在隔离目录里真跑；确认它扫的是隔离源）"
+else
+  echo "  隔离放行开关      : ✅ 未设（插件安全阀：隔离数据目录 ⇒ 失败回路默认暂停）"
+fi
+echo "  App 参数          : ${APP_ARGS[*]:-（无）}"
+
+echo
+echo "── 生产 $PROD_HOME 指纹（应始终不变）────────────────────────────"
+fingerprint_lines
+NOW_HASH="$(fingerprint_hash)"
+echo "指纹 sha256              : $NOW_HASH"
+if [ -f "$FINGERPRINT_FILE" ]; then
+  if grep -q "$NOW_HASH" "$FINGERPRINT_FILE"; then
+    echo "  ✅ 与基线一致（${FINGERPRINT_FILE}）—— 生产数据目录未被动过"
+  else
+    echo "  ❌ 与基线**不一致**（${FINGERPRINT_FILE}）："
+    diff <(grep -v '指纹 sha256' "$FINGERPRINT_FILE") <(fingerprint_lines) | sed 's/^/     /' || true
+  fi
+else
+  echo "  ·（还没有基线；先跑：bash scripts/desktop-trial.sh --refresh-baseline）"
+fi
+
+if [ "$MODE" = "check" ]; then
+  exit 0
+fi
+
+# ── 启动（隔离）────────────────────────────────────────────────────────────
+if [ ! -x "$APP" ]; then
+  echo "未安装官方桌面端：$APP" >&2
+  echo "（可用 ARGENT_DESKTOP_APP=<路径> 指定；App 内 CLI：Contents/Resources/runtime/cli/bin/dsh）" >&2
+  exit 1
+fi
+mkdir -p "$ARGENT_DATA_DIR"
+[ -f "$PAUSE_SWITCH" ] || : > "$PAUSE_SWITCH"     # 缺这条会误扫/派发生产流程
+echo "🔒 隔离启动：home=${DSH_HOME}｜数据目录=${ARGENT_DATA_DIR}｜失败回路=暂停（${PAUSE_SWITCH}）"
+echo "   生产指纹（启动前）：$(fingerprint_hash)"
+echo "   启动后再核对：bash scripts/desktop-trial.sh --check"
+exec "$APP" ${APP_ARGS[@]+"${APP_ARGS[@]}"}

package/engine/scripts/dev-window.sh

@@ -0,0 +1,260 @@
+#!/usr/bin/env bash
+# dev-window.sh —— **开发/测试窗口闸**（2026-09-23，用户口径）
+#
+# 用户原话：「你在开发测试时，就应该暂停 cron 或者失败回路任何试图与你撞车的触发点。」
+# 本脚本把这句话变成一条命令：**开窗 = 暂停所有会与你抢店铺窗口的自动触发点**，
+# 关窗 = 原样恢复。它只碰"开关文件"，不动 launchd 作业（卸载/重装作业反而容易留下半残状态）。
+#
+# 用法：
+#   bash scripts/dev-window.sh status              # 看当前：谁在跑、哪些触发点被暂停、店铺锁被谁占着
+#   bash scripts/dev-window.sh on [--notes "…"]    # 开窗：暂停所有流程的轮询开关 + 失败回路
+#   bash scripts/dev-window.sh off                 # 关窗：只恢复**本窗口创建**的那些开关
+#
+# 为什么需要它（2026-09-23 §8.57 事故）：我在改代码/实跑期间，失败回路把一个角色会话唤醒、
+# 角色手动派了同一张票 ⇒ 两个执行者同店、后到者让紫鸟换调试端口、把先到者的标签页关掉
+# ⇒ 双方都往生产表里写「失败」，看起来像平台故障。PAUSE_POLL 只挡 cron 自动认领，
+# **挡不住手动派发** ⇒ 三个触发点必须一起停：
+#   ① 各流程的 cron 轮询开关（launchd 定时器读的那个文件，逐流程一份）
+#   ② 失败回路（PAUSE_FLOW_WATCH，plugins/argent-flow 的泵每轮读）
+#   ③ 手动派发 —— 开关文件管不了，由**店铺级执行者锁**（orchestrator 取窗口前非阻塞抢锁）兜住
+#
+# 口径与红线：
+#   - **只暂停、不卸载**：开关文件删除即恢复，绝不 launchctl bootout（半残状态比暂停更贵）；
+#   - **只恢复自己建的**：关窗按标记文件里记录的清单删，不误删别人设的开关；
+#   - 标记文件带 expiresAt：超时后 status 会**响亮提醒**（防止"以为在开发窗口里"的静默停摆）；
+#   - 开窗前会检查"有没有执行者正在跑"，有就拒绝开窗（先等它跑完，别在别人跑的时候暂停触发点）。
+set -uo pipefail
+
+REPO="$(cd "$(dirname "${BASH_SOURCE[0]}")/.." && pwd)"
+TTL_MIN_DEFAULT=240
+
+pick_py() {
+  local c
+  for c in "${ARGENT_PY:-}" "${DSH_HOME:-$HOME/.dsh}/argent/venv/bin/python3" \
+           "$HOME/.dsh/argent/venv/bin/python3" "$REPO/.venv/bin/python3" \
+           "$(command -v python3 2>/dev/null || true)"; do
+    [ -n "$c" ] && [ -x "$c" ] && { printf '%s' "$c"; return 0; }
+  done
+  return 1
+}
+PY="$(pick_py)" || { echo "❌ 找不到 python3" >&2; exit 2; }
+
+# 数据目录：**唯一判据**在 Python 单一实现（scripts/lib/argent_datadir.py，经 CLI 包装
+# scripts/argent-datadir.py）——⛔ 不在 bash 里重写三级链（`${ARGENT_DATA_DIR:-$HOME/.dsh/argent}`
+# 那种写法 = 隔离实例一半写隔离目录、一半写生产）。取不到 ⇒ 响亮停住（fail-closed，不猜目录）。
+DATA_DIR="$("$PY" "$REPO/scripts/argent-datadir.py" 2>/dev/null || true)"
+if [ -z "$DATA_DIR" ]; then
+  echo "[dev-window] ❌ 数据目录判据不可用（$REPO/scripts/argent-datadir.py 取不到）⇒ 停住，不猜目录" >&2
+  exit 2
+fi
+MARKER="$DATA_DIR/DEV_WINDOW.json"
+WATCH_PAUSE="$DATA_DIR/PAUSE_FLOW_WATCH"
+
+MODE="${1:-status}"; shift || true
+NOTES=""; TTL_MIN="$TTL_MIN_DEFAULT"
+while [ $# -gt 0 ]; do
+  case "$1" in
+    --notes) NOTES="${2:-}"; shift 2;;
+    --ttl-min) TTL_MIN="${2:-$TTL_MIN_DEFAULT}"; shift 2;;
+    -h|--help) sed -n '2,30p' "${BASH_SOURCE[0]}" | sed 's/^# \{0,1\}//'; exit 0;;
+    *) shift;;
+  esac
+done
+
+flow_ids() { "$PY" "$REPO/scripts/flow_config.py" --list 2>/dev/null | awk '/^  [a-z]/{print $1}'; }
+pause_of() { "$PY" "$REPO/scripts/flow_config.py" --flow "$1" --get paths.pauseSwitch 2>/dev/null; }
+running_executors() { pgrep -fl "orchestrator\.py" 2>/dev/null | grep -v "pgrep" || true; }
+
+show_store_locks() {
+  "$PY" - "$@" <<'PY'
+import fcntl, glob, json, os, sys
+lock_dir = os.environ.get('ARGENT_LOCK_DIR') or '/tmp'
+locks = sorted(glob.glob(os.path.join(lock_dir, 'ziniao-store-*.lock')))
+if not locks:
+    print('   (无店铺锁文件)')
+for p in locks:
+    try:
+        f = open(p, 'a+')
+        fcntl.flock(f.fileno(), fcntl.LOCK_EX | fcntl.LOCK_NB)
+    except OSError:
+        try:
+            f.seek(0); holder = (f.read() or '').strip()
+        except Exception:
+            holder = ''
+        print(f'   🔴 被占用 {os.path.basename(p)} ← {holder or "(无持有者信息)"}')
+        continue
+    try:
+        f.seek(0); holder = (f.read() or '').strip()
+    finally:
+        try: fcntl.flock(f.fileno(), fcntl.LOCK_UN); f.close()
+        except Exception: pass
+    print(f'   ⚪ 空闲   {os.path.basename(p)}' + (f'（上次持有者 {holder}）' if holder else ''))
+PY
+}
+
+case "$MODE" in
+  status)
+    echo "── 执行者进程 ──"
+    if [ -n "$(running_executors)" ]; then running_executors | sed 's/^/   🏃 /'; else echo "   (无)"; fi
+    echo "── 店铺级执行者锁（${ARGENT_LOCK_DIR:-/tmp}/ziniao-store-*.lock）──"
+    show_store_locks
+    echo "── 开发窗口标记 ──"
+    if [ -f "$MARKER" ]; then
+      "$PY" - "$MARKER" <<'PY'
+import json, sys, time, datetime
+d = json.load(open(sys.argv[1], encoding='utf-8'))
+exp = d.get('expiresAt', '')
+late = ''
+try:
+    if exp and datetime.datetime.fromisoformat(exp) < datetime.datetime.now():
+        late = '  ⚠️ **已过期**——别忘了 `dev-window.sh off`'
+except Exception:
+    pass
+print(f"   🧪 开窗中：owner={d.get('owner','?')} since={d.get('since','?')} expiresAt={exp}{late}")
+if d.get('notes'): print(f"      备注：{d['notes']}")
+for it in d.get('created', []):
+    print(f"      - {it.get('flow','(watch)'):<20} {it.get('path','')}")
+PY
+    else
+      echo "   (无开发窗口)"
+    fi
+    echo "── 各流程轮询开关（存在=已暂停）──"
+    for f in $(flow_ids); do
+      p="$(pause_of "$f")"; [ -n "$p" ] || continue
+      if [ -f "$p" ]; then echo "   ⏸  $f  $(basename "$p")"; else echo "   ▶️  $f  运行中"; fi
+    done
+    if [ -f "$WATCH_PAUSE" ]; then echo "   ⏸  失败回路  PAUSE_FLOW_WATCH"; else echo "   ▶️  失败回路  运行中"; fi
+    ;;
+  on)
+    if [ -f "$MARKER" ]; then
+      echo "❌ 已有开发窗口（${MARKER}）——先执行 dev-window.sh status 看，再 off 关。" >&2
+      echo "   为什么拒绝二次开窗：第二次会把「开窗前就存在」记到自己头上，关窗时该恢复的被当成别人的留下。" >&2
+      exit 1
+    fi
+    if [ -n "$(running_executors)" ]; then
+      echo "❌ 有执行者正在跑，拒绝开窗（先等它跑完）：" >&2
+      running_executors | sed 's/^/   /' >&2
+      exit 1
+    fi
+    held="$("$PY" - <<'PY'
+import fcntl, glob, os
+held = []
+lock_dir = os.environ.get('ARGENT_LOCK_DIR') or '/tmp'
+for p in sorted(glob.glob(os.path.join(lock_dir, 'ziniao-store-*.lock'))):
+    try:
+        f = open(p, 'a+')
+        fcntl.flock(f.fileno(), fcntl.LOCK_EX | fcntl.LOCK_NB)
+        fcntl.flock(f.fileno(), fcntl.LOCK_UN); f.close()
+    except OSError:
+        held.append(os.path.basename(p))
+print('\n'.join(held))
+PY
+)"
+    if [ -n "$held" ]; then
+      echo "❌ 有店铺执行者锁被占用（别的执行者在跑同一家店），拒绝开窗：" >&2
+      echo "$held" | sed 's/^/   /' >&2
+      exit 1
+    fi
+    mkdir -p "$DATA_DIR"
+    # **全有或全无**（2026-09-23 自测抓到）：解析不出 pauseSwitch 的流程若被静默跳过，
+    # 就变成"以为暂停了、其实还在跑"——正是本脚本要消灭的静默停摆。
+    # 故先只读解析一遍：任何一条解析不出来 ⇒ 报错退出、**一个开关都不建**。
+    if ! "$PY" - "$REPO" <<'PY'
+import os, subprocess, sys
+repo = sys.argv[1]
+py = sys.executable
+out = subprocess.run([py, os.path.join(repo, 'scripts', 'flow_config.py'), '--list'],
+                     capture_output=True, text=True)
+flows = [ln.split()[0] for ln in out.stdout.splitlines() if ln.startswith('  ') and ln.split()]
+bad = []
+for fid in flows:
+    r = subprocess.run([py, os.path.join(repo, 'scripts', 'flow_config.py'), '--flow', fid,
+                        '--get', 'paths.pauseSwitch'], capture_output=True, text=True)
+    if r.returncode != 0 or not r.stdout.strip():
+        bad.append((fid, (r.stderr or r.stdout or '').strip().splitlines()[-1:] or ['(无输出)']))
+if bad:
+    print('❌ 有流程的暂停开关解析不出来 —— **拒绝开窗**（一个开关都不建）：', file=sys.stderr)
+    for fid, why in bad:
+        print(f'   {fid}: {why[0][:160]}', file=sys.stderr)
+    print('   修法：确认部署 env 就位（如 ~/.dsh/argent/fulfillment.env）后重试；'
+          '详见 docs/本机接班运行清单.md §8.58', file=sys.stderr)
+    sys.exit(2)
+print(f'（{len(flows)} 个流程的暂停开关均可解析）')
+PY
+    then
+      exit 2
+    fi
+    "$PY" - "$DATA_DIR" "$MARKER" "$WATCH_PAUSE" "$TTL_MIN" "$NOTES" "$REPO" <<'PY'
+import datetime, json, os, pathlib, subprocess, sys
+data_dir, marker, watch_pause, ttl_min, notes, repo = sys.argv[1:7]
+py = sys.executable
+out = subprocess.run([py, os.path.join(repo, 'scripts', 'flow_config.py'), '--list'],
+                     capture_output=True, text=True).stdout
+flows = [ln.split()[0] for ln in out.splitlines() if ln.startswith('  ') and ln.split()]
+created = []
+for fid in flows:
+    p = subprocess.run([py, os.path.join(repo, 'scripts', 'flow_config.py'), '--flow', fid,
+                        '--get', 'paths.pauseSwitch'], capture_output=True, text=True).stdout.strip()
+    if not p:
+        continue
+    existed = os.path.exists(p)
+    pathlib.Path(p).parent.mkdir(parents=True, exist_ok=True)
+    pathlib.Path(p).touch()
+    created.append({'flow': fid, 'path': p, 'preExisting': existed})
+watch_existed = os.path.exists(watch_pause)
+pathlib.Path(watch_pause).touch()
+now = datetime.datetime.now()
+doc = {
+    'version': 1,
+    'owner': os.environ.get('ARGENT_ACTOR') or f'pid{os.getpid()}',
+    'since': now.isoformat(timespec='seconds'),
+    'expiresAt': (now + datetime.timedelta(minutes=int(ttl_min))).isoformat(timespec='seconds'),
+    'notes': notes,
+    'created': created,
+    'watch': {'path': watch_pause, 'preExisting': watch_existed},
+}
+pathlib.Path(marker).write_text(json.dumps(doc, ensure_ascii=False, indent=2), encoding='utf-8')
+print(f"🧪 开发窗口已开：{len(created)} 个流程轮询开关 + 失败回路 已暂停（TTL {ttl_min} 分钟）")
+for it in created:
+    print(f"   ⏸  {it['flow']:<20} {it['path']}" + ('（原本就存在，关窗时保留）' if it['preExisting'] else ''))
+print(f"   ⏸  失败回路            {watch_pause}" + ('（原本就存在，关窗时保留）' if watch_existed else ''))
+print(f"   标记：{marker}")
+print("   ⚠️ live 票派发不归开关管——由**店铺级执行者锁**兜底；收工请执行 dev-window.sh off")
+PY
+    ;;
+  off)
+    if [ ! -f "$MARKER" ]; then
+      echo "ℹ️ 没有开发窗口标记（${MARKER}）：本脚本只恢复自己建的开关，不猜。"
+      echo "   若确实要恢复全部暂停，请逐个删：$(flow_ids | tr '\n' ' ') 的 pauseSwitch + PAUSE_FLOW_WATCH"
+      exit 0
+    fi
+    "$PY" - "$MARKER" <<'PY'
+import json, os, sys
+d = json.load(open(sys.argv[1], encoding='utf-8'))
+removed, kept = [], []
+for it in d.get('created', []):
+    p = it.get('path')
+    if not p or not os.path.exists(p):
+        continue
+    if it.get('preExisting'):
+        kept.append((it.get('flow', '?'), p)); continue
+    os.remove(p); removed.append((it.get('flow', '?'), p))
+w = d.get('watch') or {}
+if w.get('path') and os.path.exists(w['path']):
+    if w.get('preExisting'):
+        kept.append(('(watch)', w['path']))
+    else:
+        os.remove(w['path']); removed.append(('失败回路', w['path']))
+os.remove(sys.argv[1])
+print(f"🔓 开发窗口已关：恢复 {len(removed)} 个开关，保留 {len(kept)} 个（开窗前就存在/别人设的）")
+for f, p in removed:
+    print(f"   ▶️  {f:<20} {p}")
+for f, p in kept:
+    print(f"   ⏸  保留 {f:<16} {p}")
+PY
+    ;;
+  *)
+    echo "用法：bash scripts/dev-window.sh status | on [--notes …] [--ttl-min N] | off" >&2
+    exit 2
+    ;;
+esac